ISMS Einführung im IT-Unternehmen: Voraussetzungen und Einstieg

Vor dem ISMS-Start die Voraussetzungen klären

Die Einführung eines ISMS beginnt mit einer Entscheidung der Unternehmensleitung. Sie sollte festlegen, welchen Zweck das Managementsystem erfüllt und welche Bereiche zunächst dazugehören. Ein Kundenfragebogen, ein geplanter neuer Dienst oder ein Zertifizierungsziel können Anlass sein. Diese Auslöser sollten in überprüfbare Ziele übersetzt werden.

Für den Start wird kein vollständig ausgearbeitetes Handbuch benötigt. Benötigt werden jedoch Zuständigkeiten, Zeit und Zugang zu den Personen, die den tatsächlichen Betrieb kennen. Ohne diese Voraussetzungen bleibt die Bestandsaufnahme unvollständig.

Eine tragfähige Ausgangslage schaffen

Vor Beginn helfen Antworten auf folgende Fragen:

• Welche Dienstleistungen und Informationen sind für das Geschäft wesentlich?
• Welche Teams, Systeme, Standorte und externen Anbieter unterstützen sie?
• Wer koordiniert das ISMS und wer darf Prioritäten oder Budgets entscheiden?
• Welche Regeln, Prüfungen und Nachweise sind bereits vorhanden?
• Welche Personen können regelmäßig an der Umsetzung mitarbeiten?

Die Antworten werden als Ausgangsstand dokumentiert. Unklarheiten bleiben als offene Entscheidungen sichtbar, statt durch Annahmen ersetzt zu werden.

Den Geltungsbereich realistisch abgrenzen

Beispiel: Ein IT-Unternehmen möchte zunächst seinen betreuten Hosting-Dienst betrachten. Dann sind neben den Servern auch Administration, Kundensupport, Zugriffsverwaltung und relevante Lieferanten zu berücksichtigen. Ein enger Geltungsbereich darf notwendige Schnittstellen nicht unsichtbar machen.

Den Einstieg arbeitsfähig abschließen

Ein guter Projektstart liefert eine beschlossene Abgrenzung, benannte Verantwortliche und eine erste Aufgabenliste. Für offene Fragen gibt es Termine und Entscheidungsträger. Erst auf dieser Grundlage lassen sich weitere Schritte belastbar planen. Die Norm ISO/IEC 27001 liefert den Anforderungsrahmen; die organisatorische Ausgestaltung muss zum konkreten Unternehmen passen.

Arbeitsvorlage für den internen Startauftrag

Ein kurzer Startauftrag kann folgende Fragen beantworten:

• Ziel: Welche geschäftliche Anforderung soll das ISMS unterstützen? Ist eine Zertifizierung bereits entschieden oder noch eine Option?
• Bereich: Welche Leistungen und organisatorischen Einheiten gehören dazu? Welche Schnittstellen bleiben trotzdem relevant?
• Verantwortung: Wer entscheidet über Ressourcen, wer koordiniert, wer liefert Informationen aus den Fachbereichen?
• Kapazität: Welche Arbeitszeit ist tatsächlich eingeplant, auch neben Kundenprojekten und Support?
• Erstes Ergebnis: Was muss nach der Bestandsaufnahme vorliegen, damit die nächste Phase freigegeben werden kann?

Diese Vorlage ist ein praktischer Einstieg, kein vollständiger Normnachweis. Sie verhindert aber einen häufigen Projektfehler: Das Team beginnt mit umfangreichen Dokumenten, obwohl Ziel, Umfang und Entscheidungshoheit noch offen sind. Fehlende Angaben werden als offene Entscheidung benannt und einer zuständigen Person zugeordnet.

Nach dem Startauftrag führt die Übersicht zur ISMS-Einführung Schritt für Schritt durch die fachliche Reihenfolge. Ein ISMS-Projektplan ergänzt Verantwortliche, Abhängigkeiten und überprüfbare Ergebnisse.

Quellen und fachliche Grundlagen

• BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik
• ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO